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Verf ahren und Vorrxch-bung zum Uberwachen von Signal verarbel 

-bungseinhei-ten fiir Sensoren 



Die Erf indung betrif f t ein Verf ahren und eine 



^•fc;ung 



zum Uberwachen von Signalverarbeitungseinheiten fiir 
ren, die jeweils einzelne Prozelif iihrungs- oder ProzelimeBgro 
lien eines Prozesses erfassen. 





Elektronische Stabilitatsprogramme sind f ahrdynamische Re- 
gelsysteme fiir Fahrzeuge^ die dazu dienen, den Fahrer in 
kritischen Fahrsituationen wahrend des Bremsens, Beschleuni 
gens und Lenkens zu unterstutzen und dort einzugreif en, wo 
der Fahrer selbst keine direkte Eingrif f smoglichkeit hat. 
Das Regelsystem unterstutzt den Fahrer beim Bremsen, insbe- 
sondere auf einer Fahrbahn mit niedrigem oder we.chselndem 
Reibwert, auf der das Fahrzeug wegen blockierender Rader 
nicht mehr steuerbar sein oder ins Schleudern geraten konn- 
te, ferner beim Beschleunigen, wobei die Gefahr des Durch- 
drehens der Antriebsrader besteht, spwie schliefilich beim 
Lenken in einer Kurve, in der das Fahrzeug iiber- oder unter 
steuern konnte. Insgesamt wird damit nicht nur'der Komfort, 
sondern auch die aktive Sicherheit wesentlich verbessert. 
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Einem solchen Regelsystem liegt ein geschlossener Regelkreis 
zugrunde, der im Normalbetrieb des Fahrzeugs typische Re- 
gelaufgaben ubernimmt und In extremen Fahrsituationen das 
Fahrzeug so schnell wie moglich abfangen soli. Als Istwert- 
geber sind dabei Sensoren zur Erf assung der verschiedenen 
f ahrdynamischen Parameter von besonderer Bedeutung. Eine 
plausible Regelung setzt voraus, dass die Sensoren den 
Istzustand der Regelstrecke korrekt wiedergeben. Dies ist 
bei Fahrstabilitatsregelungen in extremen Fahrsituationen^ 
in denen eine Regelabweichung schon innerhalb einer sehr 
kurzen Zeit ausgeregelt werden muJi, besonders wichtig. Aus 
diesem Grunde miissen bei einem elektronischen Stabilitats- 
programm die ESP-Sensoren (Gierratensensor , Querbeschleuni- 
gungssensor^ Lenkwinkelsensor ) standig iiberwacht werden. Fi- 
ne entsprechende Online- Sensoriiberwachung hat den Zweck, 
Fehler in den ESP-Sensoren fruhzeitig zu erkennen, damit ei- 
ne Fehlregelung, die das Fahrzeug in einen sicherheitskriti- 
schen Zustand bringen konnte, ausgeschlossen wird. 

Die zur Zeit in Serie befindlichen ESP-Systeme verwenden ei- 
nen Mehrfachsensor („Sensorcluster'') zur Erf assung von Fahr- 
zeug-Drehrate sowie Quer- und ggf . LSngsbeschleunigung . Die- 
ser Sensor ist im Fahrgastraum angeordnet und kommuniziert 
liber eine CAN-Schnittstelle mit dem ESP-Steuergerat (WO 
99/47889) 

1 

Zukunftige Anwendungen (z.B*. ESP-2 oder Active Front Stee- 
ring AFS) sehen vor, die Signale des Sensorclusters auch zur 
Beeinf lussung der Lenkung heranzuziehen. Da Lenkeingrif f e 
grundsatzlich hohere Risiken beinhalten als Bremseingrif f e, 
werden auch an die Zuverlassigkeit der Sensorik hohere An- 
forderungen gestellt. Es werden redundante Systeme benotigt. 
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die selbstandig Fehlf unktionen erkennen und entsprechend re 
agieren konnen. 

Drehraten- und Beschleunigungssensor sind doppelt vorhanden 
Die Signal verarbeitung erfolgt in einem gemeinsam genutzten 
Chipsatz. Hierbei sind A/D-Wandler und Prozessorkern redun- 
dant ausgelegt, die Signalpfade (z.B. SPI-Schnittstelle zwi 
schen den Wandlern und Prozessoren, Empf angsregister usw.) 
sind jedoch nur einmal vorhanden. Defekte Sens ore lemente 
konnen so erkannt werden, ebenso Fehler in der Programmaus- 
f iihrung . 

Nachteilig ist jedoch^ dass Fehler auf dem Obertragungsweg 
zwischen A/D-Wandler (ADC) und Prozessor jedoch nicht er- 
kannt werden, ebenso wenig wie Fehler im A/D-Wandler selbst 
(z.B stuck bits), die in der GroBenordnung der zulassigen 
Signalungenauigkeit liegen . 

Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfah- 
ren und eine Vorrichtung zur Uberwachung der Signalverarbei 
tung von Sensoren der eingangs genannten Art zu schaffen, 
das/die eine insbesondere fur die Fahrstabilitatsregelung 
und/oder Komf ortregelung mit aktiven Lenkeingrif f en fiir 
Fahrzeuge erf orderliche Zuverlassigkeit aufweist. 

Gelost wird diese Aufgabe gemaJi Anspruch 1 mit einem Verfah- 
ren der eingangs genannten Art, das sich auszeichnet durch 
eine mindestens redundante Verarbeitung der Sensordaten in 
zwei gleichen Signalverarbeitungseinheiten, die jeweils un- 
abhangig und getrennt voneinander uber mindestens zwei Auf- 
bereitungseinrichtungen (ADC 1, ADC 2) in zwei Auswerteein- 
richtungen {juC 1,//C 2) ausgewertet und plausibilisiert wer 
den, wobei die Sensordaten uber getrennte Signalleitungen 
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(SL 1, SL 2) zwischen der jeweils einen Auf bereitungsein- 
richtung( ADC 1, ADC 2) und der jeweils einen Auswerteein- 
richtung (//CI, //C 2) ubertragen werden. 

Diese Aufgabe wird ferner gemaJi Anspruch 5 mit einer Vor- 
richtung der eingangs genannten Art gelost, die sich aus- 
zeichnet durch mindestens zwei gleiche Signalverarbeitungs- 
einheiten (SV 1, SV 2) zur redundanten Verarbeitung der Sen- 
sordaten, mit mindestens zwei Aufbereitxingseinrichtungen 
(ADC 1, ADC 2) und zwei Auswerteeinrichtungen {juC 1, juC 2) . 
in denen die Sensordaten jeweils unabhangig und getrennt 
voneinander ausgewertet und plausibilisiert werden, wobei 
jeweils eine Auf bereitungseinrichtung ( ADC 1, ADC 2) mit der 
jeweils einen Auswerteeinrichtung (//CI, //C 2) uber ge- 
trennte Signalleitungen (SL 1, SL 2) verbunden sind und die 
Sensordaten zwischen der jeweils einen Auf bereitungseinrich- 
tung ( ADC 1, ADC 2) und der jeweils einen Auswerteeinrich- 
tung (//CI, juC 2) liber die jeweils separate Signalleitung 
( (SL 1^ SL 2) ubertragen werden 

Vorteilhafte Weiterbildungen der Erf indung sind in den Un- 
teranspruchen angegeben . 

Durch die Erf indung ergeben sich die folgenden Vorteile: 

• Vollstandig redundanter Signalweg bis hin zur Signal - 
ausgabe. Samtliche im System auftretenden Fehler konnen 
erkannt werden. 

• Vermeidung von Komf orteinbulien durch vorzeitige System- 
aktivierung, bedingt durch Fehler, die noch im Rahmen 
des spezif izierten Bereiches liegen. 

• Eignung fiir hochsensible Systeme mit sehr kleinen Re- 
ge 1 s chwe 1 1 en . 
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• Kostenersparnis durch Verwendung der gleichen Komponen- 
ten wie beim nicht redundanten Standard- Sensorcluster. 
Es sind keine Spezialbauteile (wie z.B. double core- 
Prozessoren) notwendig . 

Ausfiihrungsbeispiele der Erfindung sind in den Zeichnungen 
dargestellt und werden im folgenden naher beschrieben. 

Es zeigen: 

Fig. 1 einen Sensorcluster nach dem Stand der Technik 

Fig. 2 eine schematische Darstellung der Struktur eines 
ESP- Systems ; 

Fig. 3 einen Sensorcluster nach der Erfindung, 

Der Vorgang des Autofahrens kann gemafi Figur 2 im regelungs- 
technischen Sinne als ein Regelkreis betrachtet werden, bei 
dem ein Fahrer 1 den Regler und ein Fahrzeug 2 die Regel- 
strecke darstellt. Die FuhrungsgroBen sind dabei die person- 
lichen Fahrwiinsche FW des Fahrers, die er durch eine fort- 
laufende Beobachtung des Stralienverkehrs erstellt. Die Ist- 
werte IF sind die Momentanwerte fiir Fahrtrichtung und Ge- 
schwindigkeit , die der Fahrer iiber seine Augen bzw. das 
Fahrgefiihl erfaJit. Die Stellgrolien SF sind schlieftlich der 
Lenkradwinkel , die Stellung des Getriebes sowie die Stellun- 
gen von Gas- und Bremspedal, die von dem Fahrer aufgrund der 
Abweichungen zwischen den Soil- und den Istwerten erstellt 
werden . 

Eine derartige Regelung wird haufig durch Storungen S wie 
Reibwertanderungen, Fahrbahnunebenheiten, Seitenwind oder 



Continental Teves AG & Co. OHG P 10890 

- 6 - 

andere Einflusse erschwert, da der Fahrer diese nicht prazi- 
se erfassen kann, jedoch bei der Regelung berucksichtigen 
muli. Aus diesem Grunde kann der Fahrer 1 zwar im allgemeinen 
die ihm ubertragenen Aufgaben^ namlich den ProzeB des Auto- 
fahrens zu regeln und zu beobachten, in normalen Fahrzustan- 
den aufgrund seiner Ausbildung und der gesammelten Erfahrung 
ohne Schwierigkeiten bewaltigen. In Extremsituationen und / 
Oder bei den genannten auJiergewohnlichen Fahrzustanden, bei 
denen die physikalischen Reibkraf tgrenzen zwischen der Fahr- 
bahn und den Reifen uberschritten werden, besteht jedoch die 
Gefahr, daJi der Fahrer zu spat oder falsch reagiert und die 
Kontrolle iiber sein Fahrzeug verliert. 

Um auch diesen Fahrsituationen Rechnung tragen zu konnen^ 
wird das fahr dynamise he Regelsystem mit einem unterlagerten 
Regelkreis (ESP) erganzt^ der gemaB Figur 1 einen Regelalgo- 
rithmus 4, eine Systemtiberwachung 5 und einen Fehlerspeicher 
6 umfalit. Gemessene FahrzustandsgroBen werden dabei der Sys- 
temuberwachung 5 und dem Regelalgorithmus 4 zugefuhrt. Die 
Systemiiberwachung 5 erzeugt ggf- eine Fehlermeldung F^ die 
dem Fehlerspeicher 6 und dem Regelalgorithmus 4 zugefuhrt 
wird. Der Regelalgorithmus 4 beaufschlagt dann in Abhangig- 
keit von den vom Fahrer 1 erzeugten StellgroBen das Fahrzeug 
2. Mit diesem Regelkreis werden typische Regelauf gaben aus- 
gefuhrt. In extremen Fahrsituationen wird das Fahrzeug so 
schnell wie moglich wieder abgefangen. 

Figur 3 zeigt die Struktur eines solchen Regelkreises, der 
im wesentlichen ein Antiblockiersystem 10, eine Antriebs- 
schlupf regelung 11 und eine Giermomentregelung 12 umfalit. 
Das System kann um eine nicht naher dargestellte Lenkwinkel- 
regelung erweitert sein. Weiterhin sind Gierratensensoren 
13, Querbeschleunigungssensoren 14, ein Lenkwinkel sensor 15, 
ein Drucksensor 16 und vier Radgeschwindigkeitssensoren 17 
vorgesehen, die sowohl als Istwertgeber zur Ermittlung der 
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Regelabweichung, als auch zur Bildung eines Gierratensoll- 
wertes und verschiedener Zwischengrolien eingesetzt warden. 
Die von dem Fahrer 1 durch Betatigung eines Gas- und Brems- 
pedals sowie des Lenkrades erzeugten Prozelif uhrungsgrolien 
werden der Antriebsschlupf regelung 11, dem Antiblockiersys- 
tern 10 und dem Drucksensor 16 beziehungsweise dem Lenkwin- 
kelsensor 15 zugefiigt. Fahrzeugspezif ische Nichtlinearita- 
ten, Schwankungen der Reibwerte, Seitenwind-Einf lusse usw. 
sind als Storungen oder unbekannte GroBen 18 zusammengef alit 
und beeinflussen die Fahrzeug-Langs- und Querdynamik 19. 
Diese Dynamik 19 wird ferner durch die genannten Fuhrungs- 
gr5iien sowie die Ausgangssignale einer Motormanagementein- 
heit 20 beeinflulit und beaufschlagt die Radgeschwindigkeits 
sensoren 17, die Gierratensensoren 13, die Querbeschleuni- 
gungssensoren 14 sowie den Drucksensor 16. Eine Regelar- 
bitration 21, der die Ausgangssignale des Antiblockiersys - 
tems 10, der Antriebsschlupf regelung 11, der Giermomentrege 
lung 12, der Lenkwinkel regelung und eines Bremseneingrif f s- 
algorithmus 22 zugeftihrt werden, dient zur Prioritatsvertei 
lung dieser Signale im Hinblick auf ihr Einwirken auf die 
Motormanagementeinheit 2 0 oder direkt auf die Fahrdynamik 
19. Der Bremseneingrif fsalgorithmus 22 wird dabei von der 
Giermomentregelung 12 und dem Drucksensor 16 beaufschlagt. 
Schlielilich ist eine Fahrzustandserkennung 23 vorgesehen, 
der die Signale des Lenkwinkel sensors 15, der Gierratensen- 
soren 13, der Querbeschleunigungs sensoren 14 sowie der Rad- 
geschwindigkeitssensoren 17 zugefiihrt werden und deren Aus- 
gangssignale die Giermomentregelung 12 sowie ein Einspurre- 
ferenzmodell 24, mit dem eine gewiinschte Soll-Gierrate er- 
zeugt wird, beaufschlagt. 

In der Figur 4 ist der Sensorcluster SC mit vollstandiger 
symmetrischer Redundanz dargestellt. Der Sensorcluster be- 
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steht aus zwei identischen getrennten Pfaden zur Signalver- 
arbeitung. Drehraten (Yaw Rate)- und Beschleunigungssensor 
(Lat Accel) sind doppelt vorhanden. Zur Signalverarbeitung 
(//Cl, nCl) werden zwei identische ASICs eingesetzt. Diese 
ASICs kOnnen genau den im bekannten Sensorcluster eingesetz- 
ten Bauteilen entsprechen, d.h. fur dieses System werden 
dann keine Spezialbauteile benotigt. 

Die Ausgange der beiden ASICs konnen im Sensorcluster (SC) 
zusammengefiihrt oder in getrennten Leitungen an den Fahr- 
zeugkommunikationsbus (hier CAN) angeschlossen werden. Bei 
einer Zusammenf iihrung im Sensorcluster bleibt die Schnitt-r 
stelle kompatibel zu dem bestehenden System. 

Jeder ASIC hat Zugang zu samtlichen Sensordaten und fuhrt 
.unabhangig vora anderen eine Signalverarbeitung und Plausibi- 
litatsbeurteilung durch. Das Ergebnis seiner Plausibilitats- 
betrachtung und ggf . das seiner Berechnungen teilt er seinem 
Partner durch eine geeignete Schnittstelle mit . 
Daraufhin setzt jeder ASIC unabhangig vom anderen eine Nach- 
richt (hier CAN-Botschaf t ) an das (ESP- ) SteuergerSt ab. Die- 
se Nachricht enthalt in codierter Form die eigenen Daten, 
den Status der eigenen Plausibilitatsbetrachtung sowie den 
•vom Partner signal isierten Zustand. 

Abhangig von den in den Nachrichten enthaltenen Statusflags 
entscheidet das Steuergerat, ob die Daten als gQltig, als 
bedingt gultig oder als fehlerhaft zu beurteilen sind. Be- 
dingt gaitige Daten konnen durch Vergleich mit anderen Gro- 
Ben (z.B. Radgeschwindigkeiten) bewertet und ggf. noch ge- 
nutzt werden. So kann z.B. bei Ausfall eines Gierratensigna- 
les wahrend einer ESP-Regelung vom Steuergerat anhand der 
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vorhandenen Modelldaten das intakte Signal identif iziert und 
zum Fortsetzen der Regelung verwendet werden. 
Vom Aufwand her entspricht diese Losung zwei getrennten i- 
dentischen Sensorclustern. Sie hat jedoch den Vorteil, dafi 
jeder Cluster auf die Sensorik des anderen zugreifen kann. 
Hierdurch stehen zusatzliche Inf ormationen zur Verfiigung. 

Das hier am Beispiel Sensorcluster erlauterte Redundanzkon- 
zept laJit sich auf beliebige andere Sensorsysteme iibertra- 
gen. Daher sind folgende Variationen denkbar, die durch die 
Erf indung mitumfasst werden: 

• Einsatz von n>=2 Signal verarbeitungseinhei ten, die auf 
die Signale von k Sensoren zugreifen, von denen ein 
Teil redundant vorhanden sein kann aber nicht muB . 

• Redundante Sensoren konnen doppelt oder mehrfach (>2) 
vorhanden sein. Mit drei oder mehr Sensoren kann be- 
reits wahrend der Signalverarbeitung eine Entscheidung 
getroffen werden, welcher Sensor fehlerhaft 1st. 

• Sensoren und die Signalverarbeitungseinheiten miissen 
sich nicht im selben Gehause befinden. 

• Der AnschluB der Sensoren an die Signalverarbeitungs- 
einheiten kann analog oder digital erfolgen. 

• Der AnschluB der Signalverarbeitungseinheiten an das 
libergeordnete Steuergerat kann analog oder digital er- 
folgen. 

• Die Signalverarbeitungseinheiten tauschen Statusinfor- 
mationen, Rechenergebnisse oder gar keine Inf ormationen 
aus . 

• Die Signalverarbeitungseinheiten konnen zu bestimmten 
Zeiten unterschiedliche Aufgaben wahrnehmen (z.B. in 
der Initialisierungsphase oder bei Eigendiagnose) . 
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Nicht jede Signalverarbeitungseinheit muB alle Sensor 
signale auswerten, es sind auch teilweise redundante 
Systeme moglich. 
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Pa-ben-banspruche : 

1. Verfahren zum Uberwachen von Signalverarbeitungseinheiten 
fur Sensoren, die jeweils einzelne ProzelJf iihrungs- oder 
ProzelimeiigroBen eines Prozesses erfassen, gekeiinzelchnet 
durch eine mindestens redundante Verarbeitung der Sensor- 
daten in zwei gleichen Signalverarbeitungseinheiten (SV 1, 
SV 2) r die jeweils unabhangig und getrennt voneinander li- 
ber mindestens zwei Auf bereitungseinrichtungen (ADC 1, ADC 
2 ) in zwei Auswerteeinrichtungen { juC - 1 , juC 2) ausgewertet 
und plausibilisiert werden, wobei die Sensordaten tiber ge- 
trennte Signal lei tungen (SL 1, SL 2) zwischen der jeweils 
einen Auf bereitungseinrichtung ( ADC 1, ADC 2) und der je- 
weils einen Auswerteeinrichtung (//CI, juC 2) iibertragen 
werden, 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet , dass 
die in jeder Auswerteeinrichtung (//CI, juC 2) jeweils se- 
parat ausgewerteten und plausibilisierten Sensordaten liber 
eine Schnittstelle zwischen den Auswerteeinrichtungen {juC 
1, juC 2) ausgetauscht werden. 

S.Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, 
dass von jeder Auswerteeinrichtung (//CI, juC 2) unabhan- 
gig von der anderen die ausgewerteten und plausibilisier- 
ten Sensordaten und Zustandsinf ormationen der jeweiligen 
anderen Auswerteeinheit an ein iibergeordnetes (Fahrzeug- 
) Steuergerat gesendet werden. 
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4.Verfahren nach einem der Anspriiche 1 bis 3, dadurch ge- 
kennzelchne't, dass die ausgewerteten und plausibilisierten 
Sensordaten und Zustandsinf ormationen der jeweiligen ande- 
ren Auswerteeinheit {juC 1 oder juC 2) liber interne separa- 
te Signalleitungen iiber jeweils einem Datenbus (CAN 1, CAN 
2) zu dem (Fahrzeug-) Steuergerat iibertragen werden. 

5 - Vorrichtung zum Uberwachen von Signalverarbeitungseinhei- 
ten fur Sensoren, die jeweils einzelne Prozelif iihrungs- o- 
der Prozeiimeligrolien eines Prozesses erfassen,. gekeiinzeich- 
net durch mindestens zwei gleiche Signalverarbeitungsein- 
heiten (SV 1, SV 2) zur redundanten Verarbeitung der Sen- 
sordaten, mit mindestens zwei Aufbereitungseinrichtungen 
(ADC 1, ADC 2) und zwei Auswerteeinrichtungen (//C 1,^C 2) 
in denen die Sensordaten jeweils unabhangig und getrennt 
voneinander ausgewertet und plausibilisiert werden, wobei 
jeweils eine Auf bereitungseinrichtung ( ADC 1, ADC 2) mit 
der jeweils einen Auswerteeinrichtung (//C 1, ju 2) liber 
getrennte Signalleitungen (SL 1, SL 2) verbunden sind und 
die Sensordaten zwischen der jeweils einen Auf bereitungs- 
einrichtung ( ADC 1, ADC 2) und der jeweils einen Auswerte- 
einrichtung (//CI, //C 2) uber die jeweils separate Sig- 
nalleitung ( (SL 1, SL 2) ubertragen werden. 

6 .Vorrichtung nach Anspruch 5, dadurch gekennzeichnet , dass 
die in jeder Auswerteeinrichtung {/uC 1, juC 2) jeweils se- 
parat ausgewerteten und plausibilisierten Sensordaten tiber 
eine Schnittstelle zwischen den Auswerteeinrichtungen {juC 
1, juC 2) ausgetauscht werden 
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V.Vorrichtung nach Anspruch 5 oder 6, dadurch gekennzeich- 
net, dass jede Auswerteeinrichtung (//CI, juC 2) unabhan- 
gig von der anderen die ausgewerteten und plausibilisier- 
ten Sensordaten und Zustandsinf ormationen der jeweiligen 
anderen Auswerteeinheit an ein Fahrzeug-Steuergerat sen- 
det . 

S.Vorrichtung nach einem der Anspruche 5 bis 7, dadurch ge- 
kezmzelchnet, dass jede Auswerteeinheit e {juC 1 oder juC 2) 
uber eine interne separate Signalleitung (SV 3, SV 4) mit 
einem Datenbus (CAN 1, CAN 2) verbunden ist und die ausge- 
werteten und plausibilisierten Sensordaten und Zustandsin- 
f ormationen der jeweiligen anderen Auswerteeinheit (//CI 
Oder //C 2) uber den jeweils einen Datenbus (CAN 1, CAN 2) 
zu dem Fahrzeug-Steuergerat libertragen werden 



Continental Teves AG & Co. OHG 



P 10890 



- 14 - 

Zusammenf assung 

Verf ahren und. exne Vorrichtung zum Uberwachen von Sxgnalver 

arbe±t:ungse±nhe±'ben ffir Sensoren 

Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
zum Uberwachen von Signalverarbeitungseinheiten fur Senso- 
ren, die jeweils einzelne ProzeBf uhrungs- oder ProzeJimeligro- 
Ben eines Prozesses erfassen. Zur Verbesserung der Zuverlas- 
sigkeit der Sensordaten eines Fahrzeugs erfolgt eine mindes- 
tens redundant e Verarbeitung der Sensordaten in zwei glei- 
chen Signalverarbeitungseinheiten (SV 1> SV 2) , die jeweils 
unabhangig und getrennt voneinander uber mindestens zwei 
Aufbereitungseinrichtungen (ADC 1, ADC 2) in zwei Auswerte- 
einrichtungen (//C l,juC 2) verfugen, wobei die Sensordaten 
uber getrennte Signalleitungen (SL 1, SL 2) zwischen der je- 
weils einen Auf bereitungseinrichtung ( ADC 1, ADC 2) und der 
zugehorigen Auswerteeinrichtung (//CI, ju 2) ubertragen wer- 
den. 
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